Especificación de EmailXpose
Claridad de correo impulsada por IA
Resumen de la Especificación
EmailXpose es un sistema abierto, modular e inteligente de seguridad y análisis de correo electrónico impulsado por IA, diseñado para analizar el contenido del correo, la identidad del remitente, enlaces, adjuntos, imágenes y video para identificar phishing, spam, estafas, malware, ingeniería social, engaños y anomalías contextuales.
EmailXpose combina el análisis de seguridad de correo electrónico convencional con procesamiento de lenguaje natural, visión por computadora, inteligencia multimodal, análisis de comportamiento, inteligencia de amenazas e interpretación de simbolismo. El sistema está diseñado para explicar sus hallazgos en lugar de simplemente asignar una clasificación de amenaza.
La arquitectura debe admitir operación local-primero y sin conexión, modelos de IA modulares, políticas de detección configurables, revisión humana, inteligencia de amenazas extensible y complementos opcionales sin requerir que los usuarios dependan de un proveedor o nube específica.
Principios de Diseño
- Implementación de código abierto
- Arquitectura modular
- Procesamiento local-primero
- Análisis sin conexión
- Operación que preserva la privacidad
- Sin ejecución automática de contenido de correo no confiable
- Toma de decisiones con intervención humana
- IA explicable
- Análisis multimodal
- Integraciones neutrales respecto al proveedor
- Modelos de IA reemplazables
- Políticas de detección configurables
- Arquitectura de complementos extensible
- Análisis reproducible
- Comportamiento seguro por defecto
Requisitos Centrales del Sistema
EmailXpose debe proporcionar un pipeline de análisis unificado capaz de aceptar mensajes de correo electrónico desde archivos locales, buzones, protocolos compatibles, API o integraciones compatibles.
El sistema debe separar la ingesta, normalización, análisis, puntuación, explicación, almacenamiento y presentación en módulos independientes.
Cada componente de análisis debe producir hallazgos estructurados que puedan evaluarse, combinarse, mostrarse, exportarse o pasarse a otro módulo de análisis de forma independiente.
El sistema nunca debe ejecutar adjuntos de correo no confiables directamente en el sistema anfitrión.
Módulos Centrales
Módulo de Ingesta de Correo Electrónico
El Módulo de Ingesta de Correo Electrónico debe proporcionar mecanismos seguros para importar mensajes de correo electrónico a EmailXpose.
Características:
- Ingesta de correo IMAP
- Procesamiento de mensajes compatible con SMTP
- Importación de archivos de correo locales
- Análisis de mensajes MIME
- Procesamiento de mensajes multiparte
- Extracción de correo HTML
- Extracción de texto plano
- Extracción de contenido incrustado
- Identificación de adjuntos
- Extracción de metadatos del mensaje
- Normalización del mensaje
- Detección de mensajes duplicados
- Seguimiento de integridad del mensaje
- Escaneo de buzones configurable
El módulo debe pasar objetos de correo normalizados a los módulos de análisis posteriores sin ejecutar contenido activo.
Módulo de Análisis Forense de Cabeceras de Correo
El Módulo de Análisis Forense de Cabeceras de Correo debe inspeccionar los metadatos técnicos asociados con la entrega y autenticación del correo electrónico.
Características:
- Inspección completa de cabeceras
- Análisis SPF
- Análisis DKIM
- Análisis DMARC
- Análisis de resultados de autenticación
- Inspección de Return-Path
- Análisis de Reply-To
- Análisis de la relación remitente y destinatario
- Detección de discrepancia en el nombre mostrado
- Análisis de cabeceras Received
- Detección de anomalías de enrutamiento
- Análisis de alineación de dominio
- Indicadores de suplantación
- Puntuación de confianza de autenticación
- Generación de línea de tiempo de cabeceras
El módulo debe producir hallazgos estructurados de autenticación y enrutamiento que puedan incorporarse a la evaluación general de amenazas.
Módulo de Identidad y Confianza del Remitente
El Módulo de Identidad y Confianza del Remitente debe evaluar si el remitente aparente es consistente con identidades conocidas y relaciones organizacionales.
Características:
- Perfiles de identidad del remitente
- Puntuación de confianza del remitente
- Reconocimiento de contactos conocidos
- Detección de remitentes por primera vez
- Reconocimiento de dominios confiables
- Historial de comportamiento del remitente
- Detección de suplantación de nombre mostrado
- Detección de suplantación de ejecutivos
- Detección de suplantación de contactos
- Validación de identidad organizacional
- Mapeo de relaciones del remitente
- Generación de grafo de identidad del remitente
- Detección de remitentes similares
El módulo debe admitir información de confianza local sin requerir la recopilación centralizada de contactos de usuarios.
Módulo de Inteligencia de Dominios
El Módulo de Inteligencia de Dominios debe analizar dominios asociados con remitentes, enlaces, redirecciones y contenido incrustado.
Características:
- Análisis de reputación de dominio
- Análisis de antigüedad del dominio
- Detección de dominios recién registrados
- Detección de dominios similares
- Detección de homógrafos
- Detección de ataques IDN
- Detección de subdominios sospechosos
- Análisis de relaciones entre dominios
- Verificaciones de consistencia de dominio
- Validación de dominio organizacional
- Análisis de reputación de IP
- Puntuación de amenaza de dominio
El módulo debe admitir fuentes de inteligencia reemplazables y configurables.
Módulo de Análisis de Enlaces
El Módulo de Análisis de Enlaces debe inspeccionar URL sin requerir que el usuario las abra.
Características:
- Extracción de URL
- Normalización de URL
- Análisis de destino
- Inspección de cadenas de redirección
- Análisis de acortadores de URL
- Detección de parámetros sospechosos
- Detección de URL codificadas
- Detección de discrepancia de dominio
- Comparación entre enlace mostrado y destino
- Detección de dominios maliciosos
- Detección de patrones de URL de phishing
- Puntuación de reputación de enlaces
- Inspección de enlaces seguros
El análisis de enlaces debe realizarse dentro de límites de red y seguridad controlados.
Módulo de Inteligencia de Amenazas
El Módulo de Inteligencia de Amenazas debe correlacionar los hallazgos de EmailXpose con la inteligencia de amenazas disponible.
Características:
- Integración de fuentes de amenazas
- Coincidencia con dominios maliciosos conocidos
- Coincidencia con URL maliciosas conocidas
- Reputación de IP
- Huellas de campañas de phishing
- Coincidencia de indicadores de malware
- Coincidencia de patrones de estafas
- Coincidencia de firmas de amenazas
- Identificación de amenazas emergentes
- Correlación de inteligencia de amenazas
- Soporte de base de datos de amenazas local
- Soporte de inteligencia de amenazas comunitaria
Las fuentes de inteligencia de amenazas deben ser opcionales y reemplazables.
Módulo de Análisis de Lenguaje Natural
El Módulo de Análisis de Lenguaje Natural debe analizar las características semánticas y lingüísticas del contenido del correo electrónico.
Características:
- Clasificación de texto
- Análisis semántico
- Clasificación de intención
- Reconocimiento de entidades
- Detección de frases sospechosas
- Detección de lenguaje de phishing
- Detección de lenguaje de estafas
- Clasificación de spam
- Detección de solicitudes de credenciales
- Detección de solicitudes de pago
- Detección de solicitudes de información sensible
- Análisis de similitud semántica
- Análisis de estilo de escritura
- Identificación de idioma
- Análisis multilingüe
- Indicadores de contenido generado por IA
El módulo debe admitir múltiples modelos y permitir que los modelos se reemplacen sin rediseñar la aplicación central.
Módulo de Análisis Conductual y Psicológico
El Módulo de Análisis Conductual y Psicológico debe identificar patrones de ingeniería social y manipulación dentro de los mensajes.
Características:
- Detección de urgencia
- Detección de persuasión basada en miedo
- Detección de presión de autoridad
- Detección de manipulación emocional
- Detección de manipulación por recompensa
- Detección de persuasión basada en amenazas
- Análisis de ingeniería social
- Indicadores de coerción
- Tácticas de presión
- Tácticas de aislamiento
- Detección de escasez falsa
- Detección de plazos artificiales
- Solicitudes de secreto
- Solicitudes conductuales inusuales
- Análisis de tono
- Detección de cambios de tono
- Detección de anomalías en el estilo de escritura
- Posibles indicadores de cuenta comprometida
Los hallazgos deben presentarse como indicadores probabilísticos en lugar de afirmaciones definitivas sobre el estado psicológico o las intenciones del remitente.
Módulo de Detección de Estafas y Fraudes
El Módulo de Detección de Estafas y Fraudes debe identificar patrones asociados con comunicaciones fraudulentas.
Características:
- Detección de facturas falsas
- Detección de fraude de pago
- Detección de compromiso de correo empresarial
- Detección de estafas de inversión
- Detección de estafas laborales
- Detección de suplantación gubernamental
- Suplantación de instituciones financieras
- Estafas de soporte técnico
- Estafas de entrega
- Estafas de suscripción
- Estafas benéficas
- Indicadores de fraude de pago anticipado
- Indicadores de estafas románticas
- Indicadores de chantaje y sextorsión
- Campañas de robo de credenciales
- Estafas de recuperación de cuentas
- Patrones de robo de identidad
El módulo debe admitir reglas de detección y modelos de aprendizaje automático actualizados continuamente.
Módulo de Detección de Spam
El Módulo de Detección de Spam debe identificar correo no solicitado y de bajo valor.
Características:
- Detección de spam basada en contenido
- Detección de spam basada en remitente
- Detección de spam basada en reputación
- Agrupación de campañas
- Detección de mensajes repetidos
- Indicadores de mensajes masivos
- Detección de patrones publicitarios
- Comportamiento de envío sospechoso
- Integración de comentarios de usuarios
- Clasificación de spam personalizada
Módulo de Defensa contra Malware y Adjuntos
El Módulo de Defensa contra Malware y Adjuntos debe inspeccionar adjuntos y contenido potencialmente peligroso sin ejecutarlo en el sistema anfitrión.
Características:
- Cuarentena de adjuntos
- Identificación de tipo de archivo
- Detección de suplantación de extensión
- Análisis estático de malware
- Inspección de archivos comprimidos
- Inspección de archivos comprimidos anidados
- Detección de ejecutables
- Detección de macros
- Detección de scripts
- Análisis de documentos maliciosos
- Análisis de amenazas en PDF
- Análisis de documentos de Office
- Detección de ofuscación
- Indicadores de payload
- Inspección de metadatos de archivos
- Generación de hashes
- Coincidencia de firmas de malware
- Análisis en sandbox aislado
- Integración con ClamAV
- Motores de análisis de malware configurables
Todo el contenido potencialmente ejecutable debe permanecer aislado hasta que sea liberado explícitamente por el usuario o un flujo de trabajo de seguridad autorizado.
Módulo de Análisis de Imágenes
El Módulo de Análisis de Imágenes debe analizar imágenes incrustadas en correos electrónicos o suministradas como adjuntos.
Características:
- Clasificación de imágenes
- Detección de objetos
- Análisis de similitud visual
- Reconocimiento de logotipos
- Identificación de marcas
- Indicadores de autenticidad de imagen
- Indicadores de manipulación de imagen
- OCR
- Detección de texto oculto
- Inspección de metadatos
- Detección de patrones visuales sospechosos
- Análisis de contexto de imagen
- Comparación semántica imagen-correo
- Alineación imagen-texto
- Detección de imágenes engañosas
Módulo de Detección de Suplantación de Marcas y Logotipos
El Módulo de Detección de Suplantación de Marcas y Logotipos debe identificar la suplantación visual de organizaciones, productos, servicios y marcas confiables.
Características:
- Reconocimiento de logotipos
- Análisis de similitud de logotipos
- Detección de logotipos alterados
- Detección de marca corporativa falsa
- Suplantación de marcas financieras
- Suplantación de marca gubernamental
- Suplantación de marcas minoristas
- Suplantación de marcas tecnológicas
- Análisis de consistencia texto-marca
- Análisis de consistencia marca-dominio
- Detección de discrepancia de identidad visual
Módulo de Análisis de Video
El Módulo de Análisis de Video debe inspeccionar contenido de video adjunto o incrustado en el correo electrónico.
Características:
- Inspección de metadatos de video
- Extracción de fotogramas
- Selección de fotogramas clave
- Análisis de escenas
- Detección de anomalías en fotogramas
- Comparación texto visual
- Comparación de contexto video-correo
- Indicadores de manipulación
- Detección de medios engañosos
- OCR desde fotogramas de video
- Transcripción de audio cuando esté disponible
- Interpretación de video multimodal
El análisis de video debe operar a través de entornos de procesamiento aislados.
Módulo de Análisis de Contenido Oculto y Esteganografía
El Módulo de Análisis de Contenido Oculto y Esteganografía debe identificar indicadores de que se ha ocultado información dentro de medios.
Características:
- Detección de texto oculto
- Detección de texto de bajo contraste
- Extracción basada en OCR
- Detección de metadatos de imagen sospechosos
- Indicadores de esteganografía
- Detección de anomalías en contenido incrustado
- Detección de URL ocultas
- Indicadores de contenido codificado
- Análisis de estructura de imagen inusual
- Análisis de metadatos de adjuntos
El módulo debe identificar indicadores y anomalías sin afirmar que la información oculta es maliciosa únicamente porque está oculta.
Módulo de Interpretación de Simbolismo y Contexto
El Módulo de Interpretación de Simbolismo y Contexto debe analizar el significado simbólico y contextual en el texto y los medios del correo electrónico.
Características:
- Detección de símbolos
- Clasificación de símbolos
- Análisis de simbolismo contextual
- Interpretación de simbolismo visual
- Análisis de simbolismo textual
- Mapeo de símbolos culturales
- Mapeo de simbolismo psicológico
- Análisis de simbolismo emocional
- Detección de simbolismo de autoridad
- Simbolismo de miedo y amenaza
- Simbolismo de confianza
- Simbolismo financiero
- Análisis de simbolismo de marca
- Identificación de simbolismo cultural o político relevante
- Mapeo de relaciones símbolo-contexto
- Análisis de significado contextual
El módulo debe distinguir entre símbolos detectados e interpretaciones inferidas y debe comunicar incertidumbre cuando la interpretación sea ambigua.
Módulo de Intención Narrativa
El Módulo de Intención Narrativa debe analizar lo que un mensaje parece intentar comunicar, persuadir, alentar o provocar que haga el destinatario.
Características:
- Modelado de intención narrativa
- Análisis de narrativa persuasiva
- Extracción de acciones solicitadas
- Detección de acciones implícitas
- Identificación de objetivos conductuales
- Correlación de patrones de manipulación
- Análisis de encuadre emocional
- Encuadre de autoridad
- Encuadre de recompensa
- Encuadre de amenaza
- Encuadre de secreto
- Análisis de narrativa de construcción de confianza
- Puntuación de confianza de intención
El módulo debe informar la intención inferida como una evaluación analítica en lugar de una determinación fáctica de los motivos privados del remitente.
Módulo de Deriva Contextual
El Módulo de Deriva Contextual debe identificar contradicciones entre diferentes componentes de un correo electrónico.
Características:
- Comparación texto versus imagen
- Comparación texto versus video
- Comparación texto versus adjunto
- Consistencia remitente versus contenido
- Consistencia marca versus dominio
- Consistencia asunto versus cuerpo
- Consistencia adjunto versus mensaje
- Consistencia organización declarada versus identidad visual
- Análisis de consistencia narrativa
- Detección de contradicciones semánticas
- Detección de anomalías multimodales
Módulo de Inteligencia Multimodal
El Módulo de Inteligencia Multimodal debe combinar hallazgos de análisis de texto, imagen, video, adjuntos, remitente, enlaces y simbolismo.
Características:
- Fusión texto-imagen
- Fusión texto-video
- Fusión texto-adjunto
- Fusión remitente-contenido
- Fusión visual-intención
- Detección de anomalías multimodales
- Detección de contradicciones entre modalidades
- Análisis de alineación semántica
- Grafo de intención unificado
- Evaluación combinada de evidencia
- Puntuación de confianza multimodal
Módulo de Puntuación de Riesgo
El Módulo de Puntuación de Riesgo debe combinar los hallazgos de los módulos de análisis individuales en una evaluación transparente.
Características:
- Puntuación general de amenaza
- Probabilidad de phishing
- Probabilidad de spam
- Probabilidad de estafa
- Probabilidad de malware
- Puntuación de ingeniería social
- Puntuación de riesgo del remitente
- Puntuación de riesgo del dominio
- Puntuación de riesgo del enlace
- Puntuación de riesgo del adjunto
- Puntuación de riesgo de medios
- Puntuación de anomalía contextual
- Puntuación de anomalía de simbolismo
- Puntuación de amenaza combinada
- Umbrales configurables
- Políticas definidas por el usuario
- Políticas definidas por la organización
- Puntuación ponderada por evidencia
El sistema de puntuación debe preservar los factores contribuyentes individuales para que los usuarios puedan comprender cómo se produjo la evaluación final.
Módulo de Explicabilidad
El Módulo de Explicabilidad debe traducir los hallazgos del análisis en evidencia comprensible.
Características:
- Explicaciones de por qué se marcó esto
- Resaltado de frases sospechosas
- Resaltado de enlaces sospechosos
- Resaltado de adjuntos sospechosos
- Explicaciones de anomalías de cabeceras
- Explicaciones de riesgo del remitente
- Explicaciones de anomalías visuales
- Explicaciones de simbolismo
- Explicaciones de análisis conductual
- Desglose de factores de riesgo
- Puntuación basada en evidencia
- Indicadores de confianza
- Informes legibles para humanos
- Informes orientados a analistas
Módulo de Investigación de Amenazas
El Módulo de Investigación de Amenazas debe proporcionar herramientas para examinar mensajes sospechosos con mayor profundidad.
Características:
- Espacio de trabajo forense de correo
- Reconstrucción de mensajes
- Línea de tiempo de cabeceras
- Investigación de enlaces
- Investigación de adjuntos
- Investigación del remitente
- Investigación de dominios
- Investigación de medios
- Recopilación de evidencia
- Descubrimiento de mensajes relacionados
- Mapeo de relaciones de campaña
- Visualización de línea de tiempo de amenazas
- Notas de investigación
- Informes exportables
Módulo de Detección de Campañas de Amenazas
El Módulo de Detección de Campañas de Amenazas debe identificar relaciones entre múltiples mensajes sospechosos.
Características:
- Agrupación de campañas de correo
- Detección de mensajes similares
- Huellas de plantillas
- Agrupación de remitentes
- Agrupación de dominios
- Agrupación de URL
- Huellas de adjuntos
- Detección de estafas repetidas
- Seguimiento de evolución de campañas
- Correlación de amenazas relacionadas
- Detección de campañas emergentes
Módulo de Inteligencia del Usuario
El Módulo de Inteligencia del Usuario debe permitir que EmailXpose mejore la relevancia basándose en los comentarios del usuario y preferencias almacenadas localmente.
Características:
- Perfiles de amenaza personalizados
- Memoria local del remitente
- Listas de confianza locales
- Listas de bloqueo locales
- Aprendizaje por comentarios del usuario
- Comentarios de falsos positivos
- Informe de falsos negativos
- Tendencias de amenazas personalizadas
- Mapas de calor de amenazas de la bandeja de entrada
- Historial de amenazas
- Resúmenes diarios de amenazas
- Informes semanales de amenazas
- Identificación de amenazas recurrentes
- Recomendaciones de seguridad personalizadas
La inteligencia del usuario debe permanecer sujeta a controles de privacidad y retención configurables.
Módulo de Privacidad y Seguridad
El Módulo de Privacidad y Seguridad debe hacer cumplir el procesamiento seguro y que preserva la privacidad en toda la aplicación.
Características:
- Procesamiento local-primero
- Análisis sin conexión
- Procesamiento en la nube opcional
- Intercambio de datos controlado por el usuario
- Minimización de datos
- Almacenamiento local cifrado
- Ejecución segura de modelos
- Aislamiento de adjuntos
- Manejo de adjuntos sin clics
- Retención de datos configurable
- Retención de análisis configurable
- Bases de datos de amenazas locales
- Informe de amenazas que preserva la privacidad
El Módulo de Informes y Visualización debe presentar los resultados del análisis a usuarios y analistas de seguridad.
Características:
- Panel de riesgo de la bandeja de entrada
- Análisis de correo individual
- Indicadores de severidad de amenaza
- Puntuaciones de riesgo interactivas
- Resaltado de contenido sospechoso
- Visor forense de cabeceras
- Panel de inspección de adjuntos
- Panel de análisis de medios
- Panel de análisis de simbolismo
- Línea de tiempo de amenazas
- Perfil de confianza del remitente
- Panel de inteligencia de dominios
- Panel de historial de amenazas
- Espacio de trabajo de investigación
- Alertas configurables
- Informes de análisis exportables
Módulo API
El Módulo API debe proporcionar acceso programático a la funcionalidad de EmailXpose.
Características:
- API REST
- Endpoint de envío de correo
- Endpoint de análisis
- Endpoint de puntuación de amenazas
- Endpoint de inteligencia del remitente
- Endpoint de inteligencia de dominios
- Endpoint de análisis de adjuntos
- Endpoint de análisis de medios
- Endpoint de informe de amenazas
- Endpoints de configuración
- Endpoints de salud y estado
- Soporte de webhooks
- Controles de autenticación
- Limitación de velocidad
- Registro de auditoría de API
Módulos de Complementos Opcionales
Los complementos opcionales deben extender EmailXpose sin requerir cambios en la arquitectura central de análisis.
Complemento de Inteligencia de Amenazas Externa
Proporciona integraciones opcionales con servicios y fuentes de inteligencia de amenazas externos.
Capacidades:
- Reputación de URL externa
- Reputación de dominio externa
- Reputación de IP externa
- Inteligencia de malware
- Inteligencia de phishing
- Sincronización de fuentes de amenazas
Complemento de Integración con VirusTotal
Proporciona integración opcional con VirusTotal o servicios de análisis externos compatibles.
Capacidades:
- Consultas de reputación de URL
- Consultas de hash de archivos
- Inteligencia de dominios
- Inteligencia de IP
- Flujos de trabajo de análisis de archivos opcionales
Los servicios externos deben permanecer deshabilitados a menos que el usuario los configure explícitamente.
Complemento ClamAV
Proporciona escaneo antivirus local mediante ClamAV.
Capacidades:
- Escaneo de archivos
- Escaneo de archivos comprimidos
- Coincidencia de firmas
- Detección de malware
- Actualizaciones de firmas locales
Complemento de Sandbox
Proporciona análisis de ejecución aislada para flujos de trabajo de seguridad autorizados.
Capacidades:
- Entornos de análisis desechables
- Monitoreo de comportamiento de archivos
- Monitoreo de procesos
- Monitoreo de actividad de red
- Monitoreo de actividad del sistema de archivos
- Indicadores de comportamiento
- Informes de sandbox
Complemento de Modelo de Visión Avanzada
Proporciona modelos adicionales de visión por computadora y visión-lenguaje.
Capacidades:- Modelos de imagen alternativos
- Modelos alternativos de visión y lenguaje
- Reconocimiento de logotipos
- Detección de objetos
- Similitud de imágenes
- Razonamiento visual
Plugin avanzado de inteligencia de video
Proporciona capacidades adicionales de procesamiento de video.
Capacidades:
- Análisis avanzado de fotogramas
- Clasificación de escenas
- Análisis temporal
- Transcripción de audio
- Análisis semántico de video
- Indicadores de manipulación de video
Plugin de base de conocimiento de simbolismo
Proporciona conocimiento simbólico y contextual ampliable.
Capacidades:
- Diccionarios de símbolos
- Bases de datos de contexto cultural
- Relaciones visuales de símbolos
- Referencias históricas de símbolos
- Referencias de simbolismo psicológico
- Simbolismo específico de dominio
El plugin deberá distinguir las referencias factuales de la interpretación generada por el modelo.
Plugin comunitario de inteligencia de amenazas
Proporciona intercambio opcional de inteligencia impulsado por la comunidad.
Capacidades:
- Huellas dactilares anónimas de amenazas
- Indicadores comunitarios de phishing
- Patrones compartidos de estafas
- Intercambio de firmas de amenazas
- Información sobre campañas emergentes
- Señales de reputación comunitaria
La participación será opcional (opt-in).
Plugin de integración SIEM
Proporciona integración opcional con plataformas de gestión de información y eventos de seguridad.
Capacidades:
- Reenvío de eventos
- Alertas de amenazas
- Eventos de seguridad estructurados
- Identificadores de investigación
- Puntuaciones de riesgo
- Referencias de evidencia
Plugin de integración con clientes de correo
Proporciona integraciones opcionales con clientes de correo electrónico de escritorio o basados en navegador compatibles.
Capacidades:
- Análisis de mensajes
- Indicadores de amenazas en línea
- Escaneo activado por el usuario
- Resúmenes de análisis
- Flujos de trabajo de cuarentena
- Flujos de trabajo de liberación segura
Plugin de políticas organizacionales
Proporciona políticas de seguridad organizacional configurables.
Capacidades:
- Umbrales de riesgo personalizados
- Listas de permitidos de dominios
- Listas de bloqueo de dominios
- Políticas de remitentes
- Políticas de adjuntos
- Políticas de enlaces
- Políticas de retención de datos
- Políticas de informes
- Flujos de trabajo del equipo de seguridad
Plugin de modelo de IA personalizado
Permite a usuarios y organizaciones proporcionar modelos de IA compatibles.
Capacidades:
- Clasificadores personalizados de phishing
- Clasificadores personalizados de spam
- Clasificadores personalizados de malware
- Modelos de lenguaje personalizados
- Modelos de visión personalizados
- Modelos de simbolismo personalizados
- Modelos de incrustación personalizados
- Gestión de versiones de modelos
- Evaluación de modelos
Arquitectura del modelo de IA
EmailXpose utilizará una arquitectura independiente del modelo.
Los modelos de IA deberán ser reemplazables sin requerir cambios en los módulos de análisis circundantes.
Las categorías de modelos compatibles pueden incluir:
- Modelos de lenguaje basados en transformadores
- Clasificadores de texto
- Modelos de incrustación
- Modelos de visión y lenguaje
- Clasificadores de imágenes
- Modelos de detección de objetos
- Modelos de video
- Modelos OCR
- Modelos de transcripción de audio
- Modelos de clasificación de malware
Los modelos deberán exponer interfaces consistentes al pipeline de análisis.
Requisitos de seguridad
EmailXpose deberá:
- Tratar todo el correo entrante como entrada no confiable
- Nunca ejecutar automáticamente adjuntos de correo
- Aislar archivos potencialmente peligrosos
- Sanear el HTML renderizado
- Prevenir la activación de URL inseguras durante el análisis
- Validar tipos de archivo independientemente de las extensiones
- Limitar el consumo de recursos durante el procesamiento de medios
- Proteger contra archivos creados maliciosamente
- Proteger los servicios de análisis de la explotación de analizadores
- Mantener registros de auditoría configurables
- Proporcionar un comportamiento seguro ante fallos
- Separar las operaciones privilegiadas del análisis ordinario
- Aplicar principios de privilegio mínimo
- Soportar la ejecución segura de modelos
Requisitos de privacidad
EmailXpose priorizará la propiedad del usuario sobre los datos de correo electrónico.
El sistema deberá soportar:
- Operación solo local
- Análisis sin conexión
- Almacenamiento configurable
- Retención configurable
- Integraciones externas controladas por el usuario
- Intercambio anónimo opcional de amenazas
- Configuración explícita de servicios externos
- Minimización de datos
- Eliminación segura
- Procesamiento local de contenido sensible
Ningún servicio externo recibirá contenido de correo electrónico a menos que el usuario o administrador haya habilitado explícitamente la integración correspondiente.
Supervisión humana
EmailXpose no representará las clasificaciones de IA como determinaciones infalibles.
El sistema deberá:
- Mostrar niveles de confianza
- Conservar la evidencia de respaldo
- Explicar los principales factores de riesgo
- Permitir a los usuarios revisar los hallazgos
- Soportar el informe de falsos positivos
- Soportar el informe de falsos negativos
- Permitir a usuarios autorizados anular clasificaciones
- Conservar la información de anulación
- Distinguir los hallazgos automatizados de las decisiones humanas
Configuración
EmailXpose proporcionará controles configurables para:
- Umbrales de amenazas
- Módulos de análisis
- Modelos de IA
- Fuentes de inteligencia de amenazas
- Manejo de adjuntos
- Políticas de sandbox
- Retención de datos
- Configuración de privacidad
- Integraciones externas
- Reglas de confianza del usuario
- Políticas organizacionales
- Niveles de alerta
- Preferencias de informes
Extensibilidad
La arquitectura permitirá agregar nuevas capacidades de análisis como módulos o plugins independientes.
Los nuevos módulos deberían poder:
- Recibir datos de correo normalizados
- Analizar tipos de contenido específicos
- Producir hallazgos estructurados
- Contribuir evidencia a la puntuación de riesgo
- Proporcionar información de explicabilidad
- Registrar configuraciones personalizables
- Operar independientemente de otros módulos
- Ser habilitados o deshabilitados sin modificar módulos no relacionados
Interoperabilidad
EmailXpose debería utilizar formatos e interfaces abiertos y ampliamente soportados siempre que sea práctico.
El sistema debería soportar:
- Formatos de correo estándar
- Estructuras MIME estándar
- Mecanismos de autenticación estándar
- APIs REST
- Resultados de análisis basados en JSON
- Indicadores de amenazas portátiles
- Informes exportables
- Formatos de inteligencia de amenazas interoperables
Modelo de resultado de análisis
Cada resultado de análisis deberá contener, cuando corresponda:
- Tipo de análisis
- Clasificación
- Confianza
- Severidad
- Evidencia
- Módulo de origen
- Marca de tiempo
- Entidad relacionada
- Acción recomendada
- Explicación
- Información del modelo
- Información de la regla de detección
El resultado combinado deberá preservar la relación entre los hallazgos individuales y la evaluación final de riesgo.
Licencia de marca de especificación (SBL)
Estándar
- Sistema totalmente compatible con AGPL-3.0+
- Copyleft aplicado para implementaciones de red
- Atribución requerida:
Opcional
- Licencia de marca de especificación (SBL)
Licencia y requisitos de aviso
EmailXpose se publica bajo la GNU Affero General Public License v3.0 o posterior (AGPL-3.0+).
Al contribuir a este proyecto, aceptas que tus contribuciones también se publicarán bajo esta licencia.
Ten en cuenta lo siguiente:
- Todas las contribuciones deben cumplir con los términos de la AGPL-3.0+.
- Según la Sección 7 de la licencia, todas las redistribuciones, bifurcaciones y trabajos derivados deben conservar la atribución a:
Roxanne Ardary y roxanneardary.com.
- Las especificaciones de EmailXpose son de uso libre con atribución. Se puede negociar una Licencia de marca de especificación previa solicitud.
- El archivo notice.md del proyecto rastrea los requisitos de atribución y los reconocimientos de contribuyentes.
Cualquier actualización que agregue nuevos contribuyentes o modifique la atribución también deberá actualizar notice.md.
- Al enviar una solicitud de extracción (pull request), asegúrate de que cualquier archivo nuevo mantenga los encabezados de atribución cuando corresponda.
- Las versiones de este software implementadas en red también deben permanecer totalmente compatibles con AGPL-3.0+, incluida la exposición de las modificaciones del código fuente cuando corresponda según la licencia.
Para obtener detalles legales completos, consulta la licencia AGPL-3.0+ y el archivo notice.md del proyecto.
Open Arsenal Hub
https://gitlab.com/Roxanne_Ardary/open-arsenal-specs
roxanne_ardary/emailxpose
